Leverandør til fødevareproduktion og engroshandel med fødevarer

Et mejeri, et slagteri eller en fødevaregrossist, der beder jer om dokumentation for sikkerhedstest, har en myndighed, som selv har skrevet til leverandørerne. Fødevarestyrelsen beskriver på sin side om NIS 2, hvad en omfattet fødevarevirksomhed kan forvente af jer, og det er et godt sted at begynde, når kravet lander. Grundlaget er bilag 2, punkt 4, i NIS 2-loven, bekendtgørelse nr. 620 af 2. juni 2025, § 13, og Fødevarestyrelsens side om kontrol af cybersikkerhed i fødevarevirksomheder.

Kort sagt er I ikke selv omfattet, fordi I leverer til en fødevarevirksomhed, men kunden skal styre sine leverandører efter risiko og kan skrive krav ind i aftalen. Teksten er ikke juridisk rådgivning.

Hvem i fødevaresektoren der er omfattet

Bilag 2, punkt 4, omfatter fødevarevirksomheder, der beskæftiger sig med engrosdistribution og industriel produktion og tilvirkning. Fødevarestyrelsen skriver, at styrelsen anser de tre kriterier for alternative, så én af dem er nok. Styrelsen nævner også, hvem der som udgangspunkt ikke er omfattet, bl.a. rene detailvirksomheder, rene transportvirksomheder uden ejerskab over fødevarerne og fodervirksomheder.

Efter bekendtgørelsens § 13 er Fødevarestyrelsen kompetent myndighed for sektoren. Styrelsen skriver desuden, at størrelsen skal beregnes for hele enheden og ikke kun for de årsværk, der arbejder med fødevareaktiviteten. Lovens § 6 handler om de net- og informationssystemer, enheden bruger til sine operationer, så kravet til jer kan også gælde systemer, der ikke har med fødevarer at gøre. → Hele virksomheden eller kun leverancen?

Vigtig enhed som udgangspunkt

Fødevarer står i bilag 2. Lovens § 4, stk. 1, knytter den størrelsesbaserede status som væsentlig enhed til typer i bilag 1, så en omfattet fødevarevirksomhed vil som udgangspunkt være vigtig enhed efter § 5. Tilsynet med vigtige enheder er efter § 24 reaktivt. Det kan ændre sig, hvis en virksomhed bliver væsentlig efter § 4, stk. 3, og Fødevarestyrelsen skriver, at den vil udpege kritiske fødevarevirksomheder efter CER-loven, som så bliver væsentlige enheder.

For leverandøren betyder forskellen ikke nødvendigvis noget for selve testen, men den kan påvirke, hvor hurtigt og hvor formelt kunden skal kunne dokumentere sin leverandørstyring. → Væsentlige og vigtige enheder

Hvad Fødevarestyrelsen skriver til leverandører

Styrelsen har et afsnit til den, der leverer til en registreret virksomhed. Leverandøren er ikke omfattet direkte, men styrelsen skriver, at det er sandsynligt, at kunden vil stille krav til leverandørens it-sikkerhed. Styrelsen beskriver også, at kunden bør bruge en risikobaseret tilgang, hvor kravene står i forhold til leverancens betydning, så kravene ikke bliver unødigt høje.

Blandt de kriterier, kunden ifølge styrelsen kan bruge, når leverandører vælges, er leverandørens cybersikkerhedspraksis, herunder procedurer for sikker udvikling, evnen til at opfylde kundens sikkerhedsspecifikationer og muligheden for at skifte til en anden leverandør. Det er nyttigt at kende listen, fordi en testrapport kun svarer på en del af den.

Styrelsen skriver også, at kunden bør gennemgå og følge leverandørernes cybersikkerhedspraksis med planlagte intervaller og efter hændelser, der har påvirket eller kan påvirke kundens systemer, og at observationerne bør dokumenteres. Et krav om test er altså ikke nødvendigvis en engangsforespørgsel. Regn med, at kunden vender tilbage, og lav jeres dokumentation, så den kan opdateres i stedet for at blive skrevet forfra hver gang. → Kundens løbende opfølgning på leverandører → Forholdsmæssige krav

Kontraktpunkter, I kan møde

Fødevarestyrelsen nævner en række bestemmelser, som en omfattet virksomhed kan tage med i aftaler med direkte leverandører. Nogle af dem har direkte betydning for test:

Hændelser · at leverandøren underretter kunden om relevante hændelser og hjælper kunden med at overholde sine rapporteringspligter.
Tilsyn · at leverandøren samarbejder med kunden om at bistå myndigheden.
Revision · at kunden har ret til revision eller til at modtage revisionsrapporter. → Ret til revision i aftalen
Sårbarheder · at leverandøren skal håndtere sårbarheder, der er en risiko for kundens systemer. → Pligt til at håndtere sårbarheder
Underleverandører · regler for, om og hvordan I bruger underleverandører.

Læs punkterne igennem, før I skriver under, og afklar, hvad ret til revision konkret betyder for jeres systemer.

Leverancer til produktion og lager

En fødevarevirksomhed kan være afhængig af jer på flere måder. Det kan være styring og overvågning af produktionslinjer, systemer til lager og temperaturovervågning, ordre- og dataudveksling med kunder og grossister eller drift af den almindelige IT. Det er de dele, kunden ikke kan undvære, der bør med i testen først.

Nogle leverancer er fælles for mange fødevarekunder, fx en standardløsning til lagerstyring, mens andre er bygget til den enkelte fabrik. Den fælles del kan testes og dokumenteres én gang. Den kundespecifikke del, fx en særlig integration til kundens produktionsplanlægning, skal beskrives for sig, så kunden kan se, om netop dens opsætning var med.

Produktionsudstyr kræver samme omtanke som andre steder, hvor driften ikke må stoppe. Aftal, hvad der afprøves på det kørende anlæg, og hvad der vurderes på anden måde, og beskriv valget i dokumentationen. → Produktionsudstyr og OT

Et tænkt eksempel

En leverandør af et system til lagerstyring og temperaturovervågning får et brev fra en fødevaregrossist med henvisning til NIS2. Brevet beder om dokumentation for test, en kontaktperson ved hændelser og accept af et kontraktbilag med ret til revision. Leverandøren sender et resumé af den seneste test af webadgangen og forbindelsen til grossistens net, oplyser kontaktpersonen og foreslår, at revisionsretten opfyldes ved udlevering af testresumé og status på rettelser én gang om året. Grossisten accepterer, men beder om besked, hvis temperaturovervågningen ændres væsentligt, og om en ny test i så fald.

Det skal I lade være med

At tro, at I selv bliver omfattet ved at levere til sektoren · Fødevarestyrelsen skriver det modsatte.
At svare på kravet uden at læse kontraktbilaget · revision og sårbarheder kan stå dér.
At begrænse testen til fødevaresystemerne uden at spørge · kundens pligter gælder de systemer, den bruger til sine operationer.
At sende en hel rapport, når et resumé dækker behovet · aftal, hvad kunden skal bruge den til.
At afprøve produktionsudstyr uden en stopplan · driften går forud.

Hvad kan og ikke kan konkluderes

Fødevarestyrelsens side viser, hvad myndigheden forventer af en fødevarevirksomheds leverandørstyring, og hvilke kontraktpunkter der kan komme. En test af jeres leverance kan understøtte kundens vurdering af jer. Den afgør ikke, om kunden er omfattet, og den svarer ikke på de dele af kundens kriterier, der handler om fx forsyningssikkerhed eller mulighed for at skifte leverandør.